Duomenų pažeidimas vykdant telefono stebėjimo operaciją „mSpy“ atskleidė milijonus jos klientų, kurie per pastarąjį dešimtmetį įsigijo prieigą prie telefono šnipinėjimo programų, taip pat Ukrainos bendrovę.
2024 m. gegužės mėn. nežinomi užpuolikai iš mSpy pavogė milijonus klientų aptarnavimo bilietų, įskaitant asmeninę informaciją, el. laiškus palaikymui ir priedus, įskaitant asmeninius dokumentus. Nors šnipinėjimo programų tiekėjų įsilaužimai tampa vis dažnesni, jie išlieka pastebimi dėl labai jautrios asmeninės informacijos. dažnai įtraukiami į duomenis, šiuo atveju apie klientus, kurie naudojasi paslauga.
Įsilaužimas apėmė klientų aptarnavimo įrašus, siekiančius 2014 m., kurie buvo pavogti iš šnipinėjimo programų gamintojos „Zendesk“ palaikomos klientų aptarnavimo sistemos.
mSpy yra telefono stebėjimo programa, kuri reklamuojasi kaip būdas sekti vaikus ar stebėti darbuotojus. Kaip ir dauguma šnipinėjimo programų, ji taip pat plačiai naudojama stebėti žmones be jų sutikimo. Tokios programos taip pat žinomos kaip „stalkerware“, nes romantiškus santykius turintys žmonės dažnai naudoja jas savo partneriui stebėti be sutikimo ar leidimo.
„mSpy“ programa leidžia tiems, kurie įdiegė šnipinėjimo programą, paprastai tam, kuris anksčiau turėjo fizinę prieigą prie aukos telefono, nuotoliniu būdu peržiūrėti telefono turinį realiuoju laiku.
Remiantis „TechCrunch“ duomenų apžvalga, kurią mes nepriklausomai gavome, „mSpy“ klientų įrašuose yra el. laiškų iš žmonių, kurie ieško pagalbos, kad galėtų slapta sekti savo partnerių, giminaičių ar vaikų telefonus. Kai kuriuose iš tų el. laiškų ir pranešimų yra klientų aptarnavimo užklausos iš kelių aukšto rango JAV kariškių, dirbančio JAV federalinio apeliacinio teismo teisėjo, JAV vyriausybės departamento sargybinio ir Arkanzaso apygardos šerifo biuro, ieškančio nemokamos licencijos išbandyti programą.
Net ir sukaupus kelis milijonus klientų aptarnavimo bilietų, manoma, kad nutekėję „Zendesk“ duomenys atspindi tik dalį visos „mSpy“ klientų bazės, kuri kreipėsi dėl klientų aptarnavimo. Tikėtina, kad „mSpy“ klientų skaičius bus daug didesnis.
Tačiau praėjus daugiau nei mėnesiui po pažeidimo, mSpy savininkai, Ukrainoje įsikūrusi įmonė Brainstack, pažeidimo nepripažino ir viešai neatskleidė.
Troy Huntas, valdantis pranešimų apie duomenų pažeidimus svetainę Have I Been Pwned, gavo viso nutekėjusio duomenų rinkinio kopiją, įtraukdamas apie 2,4 milijono unikalių mSpy klientų el. pašto adresų į savo svetainės praeities duomenų pažeidimų katalogą.
Huntas „TechCrunch“ sakė, kad susisiekė su keliais „Have I Been Pwned“ abonentais, pateikdamas informaciją iš pažeistų duomenų, kurie jam patvirtino, kad nutekinti duomenys buvo tikslūs.
Remiantis neseniai sudarytu TechCrunch sąrašu, mSpy yra naujausia pastarųjų mėnesių telefono šnipinėjimo programa, į kurią buvo įsilaužta. „mSpy“ pažeidimas dar kartą parodo, kad šnipinėjimo programų kūrėjais negalima pasitikėti, kad jie saugos savo klientų ar aukų duomenis.
Milijonai mSpy klientų pranešimų
„TechCrunch“ išanalizavo nutekintą duomenų rinkinį – daugiau nei 100 gigabaitų „Zendesk“ įrašų – kuriame buvo milijonai individualių klientų aptarnavimo bilietų ir atitinkamų el. pašto adresų, taip pat šių el. laiškų turinys.
Kai kurie el. pašto adresai priklauso netyčia nukentėjusioms aukoms, į kurias nusitaikė mSpy klientas. Duomenys taip pat rodo, kad kai kurie žurnalistai susisiekė su įmone norėdami pakomentuoti po paskutinio žinomo bendrovės pažeidimo 2018 m. Ir keletą kartų JAV teisėsaugos agentai mSpy padavė arba siekė pateikti šaukimus ir teisinius reikalavimus. Vienu atveju po trumpo apsikeitimo el. paštu mSpy atstovas FTB agentui pateikė sąskaitos ir adreso informaciją apie mSpy klientą – įtariamą nusikaltėliu pagrobimo ir žmogžudystės byloje.
Kiekviename duomenų rinkinio biliete buvo informacijos apie žmones, kurie susisiekė su mSpy, masyvas. Daugeliu atvejų duomenys taip pat apimdavo jų apytikslę vietą pagal siuntėjo įrenginio IP adresą.
„TechCrunch“ išanalizavo, kur buvo „mSpy“ susisiekę klientai, iš duomenų rinkinio ištraukdama visas vietos koordinates ir atvaizduodama duomenis neprisijungus naudojamoje žemėlapių sudarymo priemonėje. Rezultatai rodo, kad „mSpy“ klientai yra visame pasaulyje, o didelės grupės Europoje, Indijoje, Japonijoje, Pietų Amerikoje, Jungtinėje Karalystėje ir JAV.
Pats šnipinėjimo programų pirkimas nėra neteisėtas, tačiau šnipinėjimo programų pardavimas ar naudojimas šnipinėjimui be jo sutikimo yra neteisėtas. JAV prokurorai anksčiau apkaltino šnipinėjimo programų gamintojus, o federalinės valdžios institucijos ir valstijų priežiūros institucijos uždraudė šnipinėjimo programų kompanijoms dalyvauti stebėjimo pramonėje, remdamosi kibernetinio saugumo ir privatumo rizika, kurią sukelia šnipinėjimo programos. Klientai, kurie įdiegia šnipinėjimo programas, taip pat gali būti patraukti baudžiamojon atsakomybėn už pokalbių pasiklausymo įstatymų pažeidimą.
El. laiškai nutekintuose „Zendesk“ duomenyse rodo, kad „mSpy“ ir jos operatoriai puikiai žino, kam klientai naudoja šnipinėjimo programas, įskaitant telefonų stebėjimą be asmens žinios. Kai kuriuose prašymuose nurodomi klientai, kurie klausia, kaip pašalinti mSpy iš savo partnerio telefono, kai tai sužinojo jų sutuoktinis. Duomenų rinkinys taip pat kelia klausimų apie mSpy naudojimą JAV vyriausybės pareigūnams ir agentūroms, policijos departamentams ir teismams, nes neaišku, ar šnipinėjimo programa buvo naudojama pagal teisinį procesą.
Remiantis duomenimis, vienas iš el. pašto adresų yra Kevinas Newsomas, JAV vienuoliktosios apygardos apeliacinio teismo Alabamos valstijoje, Džordžijos valstijoje ir Floridoje apeliacinis teisėjas, kuris naudojo savo oficialų vyriausybės el. laišką, kad paprašytų „mSpy“ grąžinti pinigus.
Kate Adams, JAV vienuoliktosios apygardos apeliacinio teismo santykių darbo vietoje direktorė, „TechCrunch“ sakė: „Teisėjas Newsom naudojosi tik jo asmeniniais sugebėjimais sprendžiant šeimos reikalus. Adamsas atsisakė atsakyti į konkrečius klausimus apie teisėjo naudojimąsi mSpy, ar Newsomo sekimo subjektas sutiko.
Duomenų rinkinys taip pat rodo JAV valdžios institucijų ir teisėsaugos susidomėjimą. Socialinės apsaugos administracijos generalinio inspektoriaus biuro, federalinės agentūros priežiūros institucijos, darbuotojo el. laiškas paklausė mSpy atstovo, ar sargas gali „panaudoti [mSpy] su kai kuriais mūsų kriminaliniais tyrimais“, nenurodant kaip.
Kai susisiekė „TechCrunch“, Socialinės apsaugos administracijos generalinio inspektoriaus atstovas spaudai nekomentavo, kodėl darbuotojas agentūros vardu teiravosi apie „mSpy“.
Arkanzaso apygardos šerifo skyrius siekė nemokamų „mSpy“ bandymų, tariamai siekdamas pateikti programinės įrangos demonstracines versijas kaimynystės tėvams. Tas seržantas neatsakė į „TechCrunch“ klausimą, ar jie buvo įgalioti susisiekti su „mSpy“.
Įmonė už mSpy
Tai jau trečias žinomas „mSpy“ duomenų pažeidimas nuo tada, kai įmonė pradėjo veikti maždaug 2010 m. „mSpy“ yra viena iš ilgiausiai veikiančių telefonų šnipinėjimo programų operacijų, iš dalies dėl to ji sukaupė tiek daug klientų.
Nepaisant savo dydžio ir pasiekiamumo, mSpy operatoriai liko paslėpti nuo visuomenės ir iki šiol dažniausiai vengė tikrinimo. Neretai šnipinėjimo programų gamintojai nuslepia realią savo darbuotojų tapatybę, kad apsaugotų įmonę nuo teisinės ir reputacijos rizikos, susijusios su visuotine telefono stebėjimo operacija, kuri daugelyje šalių yra neteisėta.
Tačiau „mSpy“ „Zendesk“ duomenų pažeidimas parodė, kad jos pagrindinė įmonė yra Ukrainos technologijų įmonė „Brainstack“.
„Brainstack“ svetainėje „mSpy“ neminimas. Panašiai kaip ir vieši atviri darbo skelbimai, „Brainstack“ nurodo tik savo darbą neapibrėžtoje „tėvų kontrolės“ programoje. Tačiau vidinis „Zendesk“ duomenų rinkinys rodo, kad „Brainstack“ plačiai ir glaudžiai dalyvauja „mSpy“ operacijose.
Nutekintuose „Zendesk“ duomenyse „TechCrunch“ rado įrašų, kuriuose yra informacijos apie dešimtis darbuotojų, turinčių „Brainstack“ el. pašto adresus. Daugelis šių darbuotojų buvo susiję su „mSpy“ klientų aptarnavimu, pavyzdžiui, atsakinėjo į klientų klausimus ir prašymus grąžinti pinigus.
Nutekintuose „Zendesk“ duomenyse yra tikrieji „Brainstack“ darbuotojų vardai ir kai kuriais atvejais telefonų numeriai, taip pat klaidingi vardai, kuriuos jie naudojo atsakydami į „mSpy“ klientų bilietus, norėdami nuslėpti savo tapatybę.
Susisiekus su „TechCrunch“, du „Brainstack“ darbuotojai patvirtino savo vardus, nes jie buvo rasti nutekintuose įrašuose, tačiau atsisakė aptarti savo darbą su „Brainstack“.
„Brainstack“ generalinis direktorius Volodymyras Sitnikovas ir vyresnioji vadovė Kateryna Yurchuk prieš paskelbimą neatsakė į kelis el. laiškus, kuriuose buvo prašoma pakomentuoti. Vietoj to, „Brainstack“ atstovas, kuris nepateikė savo vardo, neginčijo mūsų pranešimų, bet atsisakė pateikti atsakymus į bendrovės vadovų klausimų sąrašą.
Neaišku, kaip mSpy Zendesk egzempliorius buvo pažeistas arba kas jį padarė. Pirmą kartą apie pažeidimą atskleidė Šveicarijos įsilaužėlis maia arson crimew, o vėliau duomenys buvo pateikti DDoSecrets, ne pelno skaidrumo kolektyvui, kuris indeksuoja nutekintus duomenų rinkinius visuomenės labui.
Kai buvo pasiektas komentaras, Zendesk atstovas Courtney Blake'as TechCrunch sakė: „Šiuo metu neturime įrodymų, kad Zendesk patyrė savo platformos kompromisą“, tačiau nesakė, ar „mSpy“ naudodamas „Zendesk“ šnipinėjimo programų palaikymui pažeidė jos sąlygas. paslauga.
„Esame įsipareigoję laikytis savo naudotojų turinio ir elgesio politikos ir tinkamai bei pagal nustatytas procedūras tirti įtarimus dėl pažeidimų“, – sakė atstovas spaudai.
Jei jums ar jūsų pažįstamam asmeniui reikia pagalbos, Nacionalinė smurto artimoje aplinkoje karštoji linija (1-800-799-7233) teikia nemokamą, konfidencialią pagalbą 24 valandas per parą, 7 dienas per savaitę, smurto šeimoje ir smurto aukoms. Jei atsidūrėte avarinėje situacijoje, skambinkite 911 Koalicija prieš „Stalkerware“. turi išteklių, jei manote, kad jūsų telefonas buvo pažeistas šnipinėjimo programų.
Leave a Reply